Se trata del típico problema de Delegación de Kerberos en IIS. Aunque un caso típico es cuando se configura MOSS en un Cluster NLB, no hace falta disponer de un entorno de Alta Disponibilidad basado en Balanceo de Carga para reproducir este problema, siendo suficiente con acceder a un Frontal de MOSS utilizando un nombre distinto de su nombre NetBIOS, como es por ejemplo, al acceder a MOSS utilizando un nombre DNS (sea un registro HOST o un registro CNAME o Alias) distinto del nombre de máquina.

Descripción del Escenario del Error

El escenario es el siguiente:

• Existe un Cluster NLB de Frontales de MOSS, configurado con Autenticación Integrada.
• El Application Pool de IIS de la Aplicación Web de MOSS, utiliza una cuenta de dominio para su ejecución (ej: GUILLESQL\MOSSSvc).
• Se publica un Formulario InfoPath que accede a un Web Service. Realmente, no es vinculante que el Web Service esté publicado en las mismas máquinas de MOSS o en otras máquinas diferentes, aunque conceptualmente queda más claro pensar que se trata de máquinas diferentes.
• El Servicio Web requiere de Autenticación para su ejecución. Es indiferente, si el Servicio Web está publicado en un IIS, o en varios IIS formando un Cluster NLB.

A continuación, se muestra un diagrama representativo de este escenario.

La problemática es la siguiente:

• Desde un equipo, un usuario (ej: el usuario GUILLESQL\usuPruebas) se conecta a MOSS utilizando un nombre DNS, en particular, el nombre DNS asignado al Cluster NLB (en el ejemplo, intranet.guillesql.local).
• El usuario accede e interactúa con un Formulario InfoPath, el cual intenta acceder a un Web Service.
• MOSS recibe una petición HTTP con las credenciales del usuario. Al ejecutar el Formulario InfoPath, MOSS intenta acceder al Web Service utilizando las credenciales del usuario, en vez de las credenciales utilizadas para ejecutar el Application Pool de IIS (este comportamiento se denomina Delegación). No lo consigue, produciéndose el mensaje error siguiente: Error al obtener acceso a un origen de datos (en inglés: An error occurred accessing a data source).

Aquí está el verdadero problema: MOSS no es capaz de enviar las credenciales del usuario en la petición al Web Service, realizando una petición al Web Service de forma anónima. Ojo, que el usuario no invoca al Web Service, sino que por el contrario, el usuario invoca un Formulario InfoPath (que es ejecutado en MOSS), y el Formulario InfoPath (quiero decir, MOSS) invoca al Web Service, intentando realizar dicha invocación utilizando las credenciales del usuario (Delegación).

Una forma de evidenciar este comportamiento, es comprobar el Log del Sitio Web del IIS en el que está publicado el Web Service. Esto es vital para un correcto diagnóstico, como vamos a ver.

A continuación se muestra un fragmento de Log de IIS de ejemplo, en el cual llega una petición anónima al Web Service de ejemplo, que genera un error (código HTTP 401, es decir, Unauthorized ó Access Denied), lo que representa el problema del que estamos hablando:

2009-09-10 11:15:13 W3SVC8926281 192.168.1.100 POST /WSInfoPath/GetClientes.asmx - 80 - 192.168.1.100 InfoPathDA 401 1 0

Y aquí va el contraejemplo, en forma de un fragmento de Log de IIS, en el cual llega una petición al Web Service de ejemplo, con la información del usuario (en nuestro caso GUILLESQL\usuPruebas), lo cual finaliza con éxito (código HTTP 200, es decir, OK), que representa el objetivo al que se debería llegar cuando se solucione el problema y también representa lo que ocurre cuando se accede a MOSS a través del nombre de un Frontal (suponiendo que existe un Acceso Alternativo válido).

2009-09-10 12:17:21 W3SVC8926281 192.168.1.100 POST /WSInfoPath/GetClientes.asmx - 80 GUILLESQL\usuPruebas 192.168.1.100 InfoPathDA 200 0 0

¿Queda claro que no llegan las credenciales del usuario al Web Service, verdad?

Lo más cachondo de todo esto, es que si accedemos a MOSS utilizando el nombre de uno de los Frontales (suponiendo que esté configurado como Acceso Alternativo válido), todo funciona correctamente, mientras que si accedemos a MOSS utilizando un nombre DNS (como es el caso del nombre DNS compartido para el acceso a través del NLB), se produce un error (Error al obtener acceso a un origen de datos) al acceder al formulario InfoPath y además encontramos intentos de acceso anónimos al Web Service con código de error HTTP 401 (los que comentamos antes).

Este comportamiento, evidencia que se trata de un problema de Delegación de Kerberos, pero si no estamos sobre aviso, no sólo no nos evidenciará nada, sino que además nos generará bastante confusión.

A continuación se muestra una pantalla de error de InfoPath, a modo de ejemplo:

Si pulsamos en Mostrar detalles del error, obtenemos la siguiente información (Error al obtener acceso a un origen de datos, en inglés, An error occurred accessing a data source):

Creo que con todo esto, tenemos una descripción suficientemente completa de nuestro problema. Sigamos.

Soluciones y Alternativas

Para solucionar este problema, tenemos varias alternativas, aunque sólo una es la realmente buena (configurar correctamente la Delegación de Kerberos). En cualquier caso, vamos a comentarlas todas.

Configurar el Acceso Anónimo en el Web Service (perdemos seguridad)

Esto es tan sencillo, como mostrar el diálogo de Propiedades del Web Service, desde la herramienta administrativa IIS Manager, en la pestaña File Security, editar las propiedades de Autenticación y Control de Acceso (el botón Edit de la sección Authentication and access control), para finalmente habilitar el Acceso Anónimo activando el Check Box de Enable anonymous access. A continuación se muestra una pantalla captura a modo de resumen de esta configuración.

Evidentemente, en caso de que el Servicio Web esté publicado en varios servidores Web (por ejemplo, formando un Cluster NLB), será necesario realizar esta configuración manualmente en cada uno de los Nodos del Cluster NLB.

Por último, comentar que en caso de habilitar el acceso anónimo, estamos perdiendo seguridad, ya que en ese caso podrá acceder al Servicio Web hasta el Tato. Otra cosa, es que adicionalmente intentemos securizar el acceso al Servicio Web, restringiendo su acceso a determinadas direcciones IP (por ejemplo, a las direcciones IP de los servidores MOSS), ya sea desde IIS o en la configuración de reglas de acceso de los correspondientes Firewall.

Acceder por un Nodo (perdemos la Alta Disponibilidad del Cluster NLB)

Como hablábamos anteriormente, es posible acceder correctamente al Formulario InfoPath y al Web Service, utilizando el nombre de un Frontal MOSS, pero claro, en esta situación, estamos perdiendo la Alta Disponibilidad que nos ofrece un Cluster NLB.

Además, esto tiene una limitación adicional, que es la propia resolución de nombres, ya que para poder acceder utilizando el nombre NetBIOS de un Frontal, el equipo cliente tiene que ser capaz de resolver correctamente dicho nombre, algo que suele ocurrir en entorno Intranet, pero que no suele ocurrir en entornos Internet.

Configurar la Delegación de Kerberos en IIS

La última de las opciones, quizás la más apropiada en la mayoría de los casos, es configurar la Delegación de Kerberos en IIS. Para realizar esto, seguí las instrucciones que comenté ya hace un tiempo, relacionadas con la configuración de la Autenticación Integrada y Delegación de Kerberos en IIS, utilizando nuestro tan querido como odiado comando setspn.exe, y modificando la Metabase del IIS para Sitio Web de MOSS. El resumen de los pasos es el siguiente (el detalle se puede ver en el artículo que os comentaba un poco antes):

• Habilitar la Delegación de Kerberos en las cuentas de equipo de los servidores IIS (opción Trust this computer for delegation). Requiere reiniciar.
  
  
• Habilitar la Delegación de Kerberos en la cuenta de usuario utilizada en el Application Pool del IIS (opción Account is trusted for delegation).
  
  
• Registrar los Service Principal Name (SPN) que resulten necesarios, utilizando el comando setspn.exe, que ejecutaremos con un usuario Administrador de Dominio. Para nuestro caso, podríamos ejecutar los siguientes comandos:
  
  setspn -A HTTP/intranet GUILLESQL\MOSSSvc
  setspn -A HTTP/intranet.guillesql.local GUILLESQL\MOSSSvc
  
  Ojo al copiar y pegar sobre una ventana de símbolo del sistema, que en ocasiones, los guiones se copian mal, y aunque visualmente parece que tenemos escrito el comando correcto, resulta que los guiones no están bien y es necesario borrarlos y escribirlos a mano. Ojo con el copiar y pegar.
  
  
• Modificar la Metabase de IIS en cada Servidor Web, utilizando el script adsutil.vbs o la herramienta Metabase Explorer. Para nuestro caso, podríamos ejecutar el siguiente comando en cada servidor Web:
  
  cscript adsutil.vbs get w3svc/8926281/root/NTAuthenticationProviders
  
  

Realizados estos pasos, todo funciona OK, pero... resulta que no funciona al intentar acceder a MOSS utilizando el nombre de uno de los servidores MOSS (que está correctamente configurado como Acceso Alternativo válido), es decir, sólo conseguimos acceder utilizando el nombre asignado a la IP del NLB. ¿Qué hacemos?

Tranquis, que no pasa na. Simplemente necesitaremos registrar los Service Principal Name (SPN) asociados a los servidores MOSS. Suponiendo que los servidores MOSS se llaman MOSS1 y MOSS2, sería suficiente con ejecutar los siguientes comandos:

setspn -A HTTP/moss1 GUILLESQL\MOSSSvc
setspn -A HTTP/moss1.guillesql.local GUILLESQL\MOSSSvc
setspn -A HTTP/moss2 GUILLESQL\MOSSSvc
setspn -A HTTP/moss2.guillesql.local GUILLESQL\MOSSSvc

Actualizado 21/02/2010: Recientemente me he encontrado un caso parecido, en particular, configurar la Autenticación y Delegación de Kerberos con MOSS y Analysis Services, que puede resultar una lectura de interés en relación con el tema del presente artículo.